ThinkSNS 2.8任意文件上传漏洞及修复

admin

  微博上传图片时只在前端进行验证, 服务器端没有进行安全过滤。

3 n" p7 N* N& }0 F
\api\StatusesApi.class.php

" l* {4 O6 U7 K7 i  h4 U" O6 r8 N- ?function uploadpic(){
' I8 _# |3 c0 L% L+ z7 ?5 K      if( $_FILES['pic'] ){
1 Q* x: f$ f+ D9 z     //执行上传操作
     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
( `( g* [( E/ ?5 K$ Q; f1 M9 m6 _        $result['boolen']    = 1;
0 {6 I+ a# ]' g! V) Z5 A/ z        $result['type_data'] = 'temp/'.$filename;
- }3 r8 H) ^  o        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
% S' L! g* _  y/ o4 }1 N- o8 G/ ?        $result['boolen']    = 0;
) z% X: }( s" A. t5 E5 q9 L! S        $result['message']   = '上传失败';
& Y) H& b! K8 Q' L# M$ N% Q       }
/ U$ }& w" V. H- W     }else{
% p, S& Y. d$ T5 T1 C- [9 G         $result['boolen']    = 0;
% F5 E& h% `" r4 [/ Z# ^& l) o/ T1 u4 Y  g         $result['message']   = '上传失败';
% I3 _+ l/ V; k' b# F/ Z( ^     }
% b4 ]+ ?  z9 h/ \$ z+ Mreturn $result;
    }
unloadpic()方法没有对文件类型进行验证

: }. P0 W+ z# P) d6 ~$ t可以构建表单, 选择任意文件, 提交到
/index.php?app=w3g&mod=Index&act=doPost
) u# M/ e! `1 p5 N' Z+ o
在新提交的微博上可以找到上传的文件地址(去掉small_、middle_ 前缀)


在登录thinksns官方微博后,
构建以下表单:
, F) v- O1 c5 R  u7 ~
! S2 j3 V" w4 |<form action="http://t.thinksns.com/index.php?app=w3g&mod=Index&act=doPost" method="post" enctype="multipart/form-data" />
<textarea name="content">test</textarea>
file: <input id="file" type="file" name="pic" />
5 X* a" q$ Z5 B: ~3 w! A* M<input type="submit" value="Post" />
; O- B; o# L* l0 j) p; H</form>
% u) }6 V  W5 {$ W0 o1 o去掉缩略图的前缀(small_ )
) |; U( Y. o5 V8 ]9 t# J​修复方案：

9 _1 C8 W7 q) Y+ S) k7 J8 l
9 g0 {" G" p8 R% [  v; A\api\StatusesApi.class.php

) H0 L, r9 S& L) o# C3 H& ^6 X; [function uploadpic(){
' P. e. |# z" O$ S     /**
      * 20121018 @yelo
" N" F9 T3 D' }# G6 o      * 增加上传类型验证
      */
     $pathinfo = pathinfo($_FILES['pic']['name']);
$ P; d  H5 w, v" J     $ext = $pathinfo['extension'];
, S1 X# }+ ^1 | $allowExts = array('jpg', 'png', 'gif', 'jpeg');

     $uploadCondition = $_FILES['pic'] && in_array(strtolower($ext),$allowExts,true);

     if( $uploadCondition ){
     //执行上传操作
4 H- Y6 Z+ _5 ^" C% E     $savePath =  $this->_getSaveTempPath();
     $filename = md5( time().'teste' ).'.'.substr($_FILES['pic']['name'],strpos($_FILES['pic']['name'],'.')+1);
$ o- _$ ]( J7 F3 J    if(@copy($_FILES['pic']['tmp_name'], $savePath.'/'.$filename) || @move_uploaded_file($_FILES['pic']['tmp_name'], $savePath.'/'.$filename))
       {
) R) U  r. D0 z. J! B; [) v; Y        $result['boolen']    = 1;
        $result['type_data'] = 'temp/'.$filename;
        $result['picurl']    = SITE_PATH.'/uploads/temp/'.$filename;
       } else {
        $result['boolen']    = 0;
        $result['message']   = '上传失败';
* z" B! c+ g. r: L( E- R& Z# [       }
     }else{
  o- ~6 l- V, z         $result['boolen']    = 0;
8 W7 M" p1 l' h# s         $result['message']   = '上传失败';
: x9 B: q9 s. ], G5 V. W     }
return $result;
& s% k, _- ^( H0 b    }
1 h4 Y7 W8 Y& }- U" Y  G! E- ^​
: d) D+ L1 @# l9 Q( E
  \& b: m7 t, m3 U3 p